E-mailmarketing en de AVG – wat een Nederlands bedrijf werkelijk moet doen

De AVG verbiedt e-mailmarketing niet. Ze eist drie dingen: dat de abonnee toestemming heeft gegeven, dat je dat achteraf kunt aantonen, en dat je weet waar de lijst fysiek staat. De eerste twee zijn praktijk, de derde is een toolkeuze – en daar gaat de meest gangbare aanname mis. In Nederland geldt de AVG rechtstreeks, de Uitvoeringswet AVG vult haar aan, en wanneer e-mailmarketing toestemming vereist staat in de Telecommunicatiewet.

1. Toestemming: wat het is, en wat niet

De verordening definieert toestemming als “elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting” die wordt gegeven “door middel van een verklaring of een ondubbelzinnige actieve handeling” (artikel 4, lid 11). In de praktijk betekent dat vier dingen op het formulier:

• Zeg waarop men zich abonneert. “Abonneer je op de nieuwsbrief” volstaat als ernaast staat wat de brief bevat en hoe vaak hij komt.
• Geen vooraf aangevinkte vakjes. De toestemming moet een actieve handeling zijn – wie niets doet, heeft geen toestemming gegeven.
• Geen koppeling. Aanmelding voor de nieuwsbrief kan geen voorwaarde zijn om te bestellen of een gids te downloaden op een manier dat de aanmelding niet kan worden overgeslagen.
• Afmelden in elk bericht. Eén klik ver, niet achter een login. Artikel 7, lid 3, van de verordening: “Het intrekken van de toestemming is even eenvoudig als het geven ervan.”

Dubbele bevestiging (de abonnee klikt op een bevestigingslink in de e-mail) is niet verplicht, maar het is de eenvoudigste manier om aan de aantoonplicht te voldoen – en het houdt de lijst vrij van typefouten en aanmeldingen met andermans adres.

De regel komt van twee plekken, en daar komt de verwarring meestal vandaan. De eisen aan de kwaliteit van de toestemming staan in de AVG, maar wanneer e-mailmarketing überhaupt toestemming vereist, staat in de Telecommunicatiewet. Artikel 11.7, lid 1, luidt letterlijk:

“Het gebruik van automatische oproep- en communicatiesystemen zonder menselijke tussenkomst, faxen en elektronische berichten voor het overbrengen van ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden is verboden, tenzij de verzender kan aantonen dat de desbetreffende eindgebruiker daarvoor voorafgaand toestemming heeft verleend.”

Wettekst gelezen in de geldende versie op wetten.overheid.nl op 13-9-2026.

Let op het woord eindgebruiker. De Nederlandse regel beschermt niet alleen consumenten, maar elke ontvanger – ook het adres van een bedrijf. Lid 3 maakt daarop één uitzondering: naar een rechtspersoon of een ondernemer mag je zonder toestemming mailen als die zijn adres uitdrukkelijk voor het ontvangen van commerciële berichten heeft bestemd en bekendgemaakt, en je het in overeenstemming met dat doel gebruikt. Een willekeurig info@-adres valt daar niet onder.

De uitzondering is smaller dan ze meestal wordt weergegeven

De uitzondering voor bestaande klanten wordt vaak weergegeven als “naar klanten mag je mailen”. Lid 4 van artikel 11.7 stelt strengere voorwaarden, en die moeten allemaal zijn vervuld: de verzender moet kunnen aantonen dat hij de contactgegevens “heeft verkregen van zijn klanten in het kader van de verkoop van een product of dienst”, de berichten mogen alleen gaan over “eigen gelijksoortige producten of diensten”, en de klant moet “kosteloos en op gemakkelijke wijze verzet” kunnen aantekenen:

1. “op het ogenblik dat zij worden verzameld, en”
2. “ingeval de abonnee of gebruiker zich bij de verzameling niet tegen het gebruik heeft verzet, bij elke verzonden boodschap.”

Citaten: artikel 11.7, lid 4, Telecommunicatiewet, gelezen op 13-9-2026.

Het recht van verzet moet dus twee keer worden geboden: op het moment dat het adres wordt verzameld, en in elk afzonderlijk bericht dat wordt verzonden. Het woord alle is beslissend, en twee veelvoorkomende situaties stranden erop. Een adres dat is achtergelaten bij een prijsvraag of het downloaden van een gids voldoet niet aan de basisvoorwaarde, omdat het niet is verkregen in het kader van een verkoop. Reclame voor het product van een partner of voor je eigen nieuwe productgroep voldoet niet aan de eis van gelijksoortige producten. In beide gevallen is toestemming nodig, en die vraag je makkelijker bij het verzamelen van het adres dan dat je het achteraf repareert.

2. Aantoonplicht: datum en bron opslaan

Een toestemming die niet te bewijzen is, is hetzelfde als geen toestemming. Artikel 7, lid 1, van de verordening: “Wanneer de verwerking berust op toestemming, moet de verwerkingsverantwoordelijke kunnen aantonen dat de betrokkene toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens.” Per contact moeten minstens de aanmelddatum en de informatie via welk formulier de aanmelding kwam aanwezig zijn.

Daaruit volgt één praktische regel die het vaakst wordt vergeten: als je van tool wisselt, neem dan de aanmelddatum en de aanmeldbron mee in het exportbestand. Verhuis je alleen de e-mailadressen, dan sta je na de verhuizing met een lijst die bestaat, maar een toestemming die op geen enkele manier is aan te tonen.

3. Waar de gegevens staan – hier gaat de aanname mis

De gangbare opvatting is dat e-mailtools Amerikaans zijn en dat de lijst automatisch aan de andere kant van de Atlantische Oceaan belandt. We namen op 3-9-2026 de privacyverklaringen van zeven tools door, en het beeld is anders: vijf van de zeven slaan de lijstgegevens in de EU op.

← veeg →

Bron: de eigen privacyverklaring van elke dienst, gelezen op 3-9-2026. Wordt elke 90 dagen opnieuw gecontroleerd – bedrijfsstructuren en datacenters veranderen.

Let op één nuance: contractpartij en datalocatie zijn twee verschillende dingen. EmailOctopus is een Brits bedrijf, maar de lijsten staan in Ierland; bij MailerLite wordt het contract voor EER-klanten met een Iers bedrijf gesloten, ook al heeft het concern ook een Amerikaans bedrijf. Geen van beide zegt op zichzelf waar de lijst staat – dat staat in de verklaring.

Wat je in de tool moet controleren voordat je hem in gebruik neemt

1. Vind je de aanmelddatum en -bron in de gegevens van een afzonderlijk contact? Zoek dat nu één keer op, niet op het moment dat iemand ernaar vraagt.
2. Wordt het contact volledig gewist of alleen van de lijst? Het recht op wissing betekent dat de gegevens worden gewist, niet dat het abonnement eindigt.
3. Krijg je de lijst eruit, en in welk formaat? Is er geen export, dan zit je vast.
4. Is er een verwerkersovereenkomst? Zoek in de accountinstellingen of de gebruiksvoorwaarden – bij sommige zit hij in de voorwaarden, bij andere wordt hij apart geaccepteerd.
5. Waar de gegevens staan – de tabel hierboven, of de eigen verklaring van de dienst als de tool niet in onze vergelijking zit.

Tools waarbij de lijst in de EU blijft

← veeg →

Prijzen exclusief btw, bij maandelijkse facturering, tenzij anders vermeld.(Advertentie) = advertentielink

• De prijs is de maandprijs van het goedkoopste betaalde niveau bij die lijstgrootte. De kolom Gratis versie laat zien wanneer je niet hoeft te betalen.
• EmailOctopus: de prijslijst noemt alleen de maandprijs bij jaarlijkse facturering. Maandelijks factureren kost meer.
• GetResponse: de kleinste lijst die wordt verkocht telt 1 000 contacten, dus de kolom van 500 contacten toont die prijs.

De verwerkersovereenkomst: het papier waar niemand aan denkt

Als je een e-mailtool gebruikt, verwerkt die de persoonsgegevens van de abonnees namens jou. Verwerkingsverantwoordelijke ben jij, verwerker is de dienst – en tussen jullie moet een schriftelijke overeenkomst bestaan over wat de verwerker mag doen. In het Engels heet die DPA (data processing agreement).

De overeenkomst treedt niet altijd vanzelf in werking: bij sommige diensten zit hij in de gebruiksvoorwaarden, bij andere moet hij apart in de accountinstellingen worden geaccepteerd. We hebben de overeenkomst van elke dienst in de vergelijking niet op accountniveau doorgenomen en beweren er daarom niets over voor allemaal – controleer dit terwijl je de tool in gebruik neemt, niet op het moment dat een klant ernaar vraagt.

Hetzelfde geldt voor je eigen register van verwerkingsactiviteiten. Artikel 30, lid 5, van de verordening stelt bedrijven met minder dan 250 personen in dienst vrij van het bijhouden van een register, maar de uitzondering vervalt om drie redenen: als de verwerking waarschijnlijk een risico inhoudt voor de rechten van de betrokkenen, als de verwerking niet incidenteel is, of als bijzondere categorieën van gegevens worden verwerkt. Een marketinglijst die regelmatig wordt bijgehouden raakt de middelste, dus de uitzondering geldt er niet voor.

Drie dingen die je in de overeenkomst moet lezen:

• Subverwerkers. De verwerker gebruikt eigen onderaannemers (datacenter, supporttools, AI-diensten). De lijst staat meestal op een aparte pagina, en hij verandert – de dienst moet wijzigingen aankondigen, en jij moet je eigen verklaring daarop aanpassen.
• Doorgiften buiten de EU/EER. De overeenkomst vertelt op welke grondslag gegevens naar derde landen worden doorgegeven. Dit is het punt dat bij de diensten die in de EU opslaan het kortst is.
• Wat er na opzegging gebeurt. Hoe lang de gegevens na sluiting van het account worden bewaard, en of je ze daarvóór eruit krijgt.

Een praktische ezelsbrug: wissel je van tool, dan wisselt de verwerker – en de verwerker staat met naam in je eigen privacyverklaring. De verklaring wordt in dezelfde handeling bijgewerkt, niet later.

Afmelden met één klik is niet langer alleen een wettelijke eis

De wet eist dat je in elk bericht kosteloos en op gemakkelijke wijze verzet kunt aantekenen tegen de reclame. Sinds februari 2024 is hetzelfde ook een technische eis van de mailboxen, en dat is een interessante combinatie: dezelfde handeling voldoet zowel aan de wettelijke plicht als aan de voorwaarde voor bezorgbaarheid.

Google en Yahoo eisen van wie minstens 5.000 berichten per dag verzendt dat marketingberichten afmelden met één klik ondersteunen volgens RFC 8058. In de praktijk betekent dat dat de afmelding rechtstreeks vanuit de knop in het e-mailprogramma gebeurt, en dat de ontvanger geen aparte bevestiging op een landingspagina mag worden gevraagd. Yahoo stelt bovendien een termijn: de afmelding moet binnen twee dagen zijn doorgevoerd. Beide eisen ook dat het aandeel spamklachten onder 0,30 procent blijft.

Voor de lezer volgt hieruit één controle: kijk wat je eigen afmeldlink doet. Leidt hij naar een pagina waar je nog moet inloggen of de keuze moet bevestigen, dan is dat een wetsprobleem en een bezorgprobleem tegelijk. De eisen en wat ze betekenen voor de toolkeuze zijn doorgenomen in de vergelijking: wat Gmail en Yahoo van de afzender eisen.

De vier meest voorkomende fouten

• Oude lijst rechtstreeks in de nieuwe tool. Afgemelde en dode adressen die meekomen, schaden de bezorgbaarheid precies wanneer de nieuwe afzender zijn reputatie opbouwt.
• Toestemming verzameld voor het ene doel, gebruikt voor het andere. Deelname aan een prijsvraag is geen aanmelding voor een nieuwsbrief, tenzij dat uitdrukkelijk is gezegd.
• Afmeldlink die inloggen vereist. Afmelden moet met één klik lukken.
• Tool gewisseld, verklaring niet. De verwerker staat met naam in de verklaring; als de tool wisselt, wordt de verklaring in dezelfde handeling bijgewerkt.

Wat deze pagina niet is

Dit is een praktische checklist, geen juridisch advies. De regels voor elektronische marketing komen uit de Telecommunicatiewet en de AVG, en hoe ze worden toegepast hangt af van aan wie je marketing richt en hoe de adressen zijn verzameld. Bij twijfel zijn de bronnen de ACM (Telecommunicatiewet) en de Autoriteit Persoonsgegevens (AVG) – en de interpretaties worden bijgewerkt.